{"id":55155,"date":"2026-09-18T12:15:23","date_gmt":"2026-09-18T15:15:23","guid":{"rendered":"https:\/\/www.locaweb.com.br\/blog\/?p=55155"},"modified":"2026-09-18T12:15:25","modified_gmt":"2026-09-18T15:15:25","slug":"soberania-de-dados-empresas-brasileiras","status":"publish","type":"post","link":"https:\/\/www.locaweb.com.br\/blog\/temas\/codigo-aberto\/soberania-de-dados-empresas-brasileiras\/","title":{"rendered":"O que \u00e9 soberania de dados e por que importa para empresas brasileiras"},"content":{"rendered":"\n

Em fevereiro de 2026, a ANPD deixou de ser autarquia especial e virou ag\u00eancia reguladora federal, ao lado da Anatel e da Anvisa. A Lei 15.352\/2026 deu aos fiscais poder de pol\u00edcia: interditar opera\u00e7\u00e3o, apreender equipamento, requisitar apoio policial em caso de resist\u00eancia. Um m\u00eas depois, o ECA Digital entrou em vigor e acelerou o ritmo de fiscaliza\u00e7\u00e3o.<\/p>\n\n\n\n

At\u00e9 agosto de 2024, a ANPD havia aplicado apenas duas multas formais, ambas a uma microempresa, somando R$ 14,4 mil. Nenhuma empresa privada de grande porte foi multada naquele ano. O volume de multas n\u00e3o \u00e9 o que mudou. Mudou a capacidade da autarquia de fiscalizar: a nova estrutura elimina as restri\u00e7\u00f5es or\u00e7ament\u00e1rias e de quadro que antes limitavam o n\u00famero de processos sancionat\u00f3rios em paralelo, e passa a contar com carreira pr\u00f3pria de auditores.<\/p>\n\n\n\n

Isso \u00e9 risco operacional concreto para quem decide onde os dados de uma aplica\u00e7\u00e3o v\u00e3o morar.<\/p>\n\n\n\n

Soberania de dados \u00e9 o mesmo que privacidade de dados?<\/h2>\n\n\n\n

Privacidade trata de como os dados s\u00e3o usados e quem pode acess\u00e1-los. Soberania trata de onde eles est\u00e3o e sob qual jurisdi\u00e7\u00e3o. As duas coisas podem divergir: um banco de dados nos Estados Unidos pode ter criptografia de ponta e controle de acesso rigoroso, isso \u00e9 privacidade adequada, mas continua sujeito \u00e0 legisla\u00e7\u00e3o americana, ao Cloud Act e a ordens de acesso que a empresa brasileira n\u00e3o controla.<\/p>\n\n\n\n

O detalhe que costuma escapar de quem desenha arquitetura: o Cloud Act se aplica a empresas de origem americana independentemente de onde o servidor f\u00edsico est\u00e1. Hospedar um banco de dados na regi\u00e3o S\u00e3o Paulo de um hyperscaler americano n\u00e3o blinda a empresa da jurisdi\u00e7\u00e3o dos EUA. O que blinda \u00e9 o servidor f\u00edsico e a sede jur\u00eddica do provedor estarem os dois em territ\u00f3rio nacional. \u00c9 esse detalhe que torna um provedor 100% nacional relevante para dado sens\u00edvel, al\u00e9m da localiza\u00e7\u00e3o geogr\u00e1fica em si.<\/p>\n\n\n\n

O inverso tamb\u00e9m existe: dados armazenados no Brasil, com provedor nacional, mas com regras de acesso \u00e0 rede abertas para a internet, s\u00e3o soberanos e ao mesmo tempo vulner\u00e1veis.<\/p>\n\n\n\n

Para quem desenha arquitetura, essa distin\u00e7\u00e3o define duas perguntas separadas. Onde o dado reside, e sob qual jurisdi\u00e7\u00e3o do provedor, determina qual Estado pode requisit\u00e1-lo. Como o dado \u00e9 protegido determina se ele resiste a um vazamento. A LGPD cobra as duas coisas, mas por caminhos diferentes: o artigo 33 trata de transfer\u00eancia internacional, os artigos de seguran\u00e7a tratam de prote\u00e7\u00e3o t\u00e9cnica.<\/p>\n\n\n\n

O que a Lei 15.352\/2026 muda na pr\u00e1tica?<\/h2>\n\n\n\n

A LGPD est\u00e1 em vigor desde 2020. O que muda agora \u00e9 quem a aplica e com que m\u00fasculo. Antes da Lei 15.352\/2026, a ANPD era autarquia vinculada \u00e0 Presid\u00eancia, com or\u00e7amento e quadro t\u00e9cnico limitados. A transforma\u00e7\u00e3o em ag\u00eancia reguladora trouxe autonomia financeira e administrativa, equiparando-a a \u00f3rg\u00e3os como Anatel e Anvisa. Na pr\u00e1tica, isso significa mais fiscais e mais capacidade de abrir processos. Trouxe tamb\u00e9m um instrumento novo: poder de pol\u00edcia. Um fiscal da ANPD pode, em uma inspe\u00e7\u00e3o, interditar um datacenter. Pode apreender servidores. Pode pedir escolta policial se a empresa resistir.<\/p>\n\n\n\n

O ECA Digital somou peso a esse movimento. Empresas que lidam com dados de crian\u00e7as e adolescentes passaram a responder a exig\u00eancias mais espec\u00edficas de prote\u00e7\u00e3o e a um regime de fiscaliza\u00e7\u00e3o mais direto.<\/p>\n\n\n\n

O efeito combinado j\u00e1 aparece na trajet\u00f3ria: entre 2021 e 2024 a ANPD operou em modo majoritariamente educativo, priorizando orienta\u00e7\u00e3o a puni\u00e7\u00e3o. A Delibera\u00e7\u00e3o CD-10\/2025 j\u00e1 sinalizava a virada, ao introduzir multa di\u00e1ria para descumprimento de medidas cautelares. Com a nova estrutura de 2026, a barreira operacional que segurava esse enforcement deixa de existir. Uma pol\u00edtica de privacidade no rodap\u00e9 do site n\u00e3o resolve mais nada. O que resolve \u00e9 provar, em auditoria, onde cada dado est\u00e1, e sob qual base legal ele saiu do pa\u00eds, se saiu.<\/p>\n\n\n\n

Transfer\u00eancia internacional: o que o artigo 33 permite (e o que exige)<\/h2>\n\n\n\n

A LGPD n\u00e3o pro\u00edbe hospedar dados fora do Brasil. O artigo 33 autoriza a transfer\u00eancia internacional em hip\u00f3teses espec\u00edficas. Uma delas: o pa\u00eds de destino tem grau de prote\u00e7\u00e3o equivalente, reconhecido pela ANPD. Outra: existem cl\u00e1usulas contratuais padr\u00e3o ou normas corporativas globais que garantem o mesmo n\u00edvel de prote\u00e7\u00e3o. A terceira: o titular consente de forma espec\u00edfica e destacada para aquele fim.<\/p>\n\n\n\n

Cumprir isso exige documenta\u00e7\u00e3o. \u00c9 preciso saber qual cl\u00e1usula contratual est\u00e1 em vigor com o provedor. \u00c9 preciso ter clara a base legal para cada categoria de dado transferido. E, quando o consentimento \u00e9 a base usada, \u00e9 preciso ter evid\u00eancia de que ele foi coletado de forma clara, n\u00e3o embutido em termos de uso gen\u00e9ricos.<\/p>\n\n\n\n

Cada camada de transfer\u00eancia internacional \u00e9 uma camada de auditoria a mais. Cada provedor no meio do caminho, um contrato a mais para revisar quando a ANPD pedir explica\u00e7\u00e3o.<\/p>\n\n\n\n

Onde isso pega na arquitetura<\/h2>\n\n\n\n

Para times de infraestrutura, a virada regulat\u00f3ria se traduz em decis\u00f5es concretas de onde e como hospedar<\/a>.<\/p>\n\n\n\n

Jurisdi\u00e7\u00e3o do provedor como crit\u00e9rio de arquitetura, n\u00e3o s\u00f3 de compliance.<\/strong> Hospedar com um provedor nacional, servidor f\u00edsico e sede jur\u00eddica no Brasil, elimina a cadeia de justificativas do artigo 33 para o dado que nunca sai do pa\u00eds e a exposi\u00e7\u00e3o ao Cloud Act de provedores estrangeiros. N\u00e3o \u00e9 escapar da LGPD. \u00c9 reduzir a superf\u00edcie de auditoria.<\/p>\n\n\n\n

Descoberta e classifica\u00e7\u00e3o de dados por design.<\/strong> Se um fiscal pede para provar onde um dado espec\u00edfico est\u00e1 e sob qual base ele foi tratado, a resposta precisa vir de um Data Catalog automatizado ou de ferramentas de Data Security Posture Management (DSPM), com mapeamento de PII j\u00e1 no momento da ingest\u00e3o. Uma investiga\u00e7\u00e3o manual em dezenas de tabelas de produ\u00e7\u00e3o, feita sob press\u00e3o de fiscaliza\u00e7\u00e3o, n\u00e3o escala e n\u00e3o convence auditor.<\/p>\n\n\n\n

Lat\u00eancia como efeito colateral, n\u00e3o como argumento principal.<\/strong> Um data center no Brasil tamb\u00e9m aproxima fisicamente a aplica\u00e7\u00e3o do usu\u00e1rio final, reduzindo o tempo de resposta em dezenas de milissegundos para tr\u00e1fego dom\u00e9stico. \u00c9 um ganho real, mas separado do argumento de soberania. Confundir os dois enfraquece a decis\u00e3o t\u00e9cnica.<\/p>\n\n\n\n

Multicloud com cuidado redobrado.<\/strong> Se a arquitetura usa provedores nacionais e internacionais ao mesmo tempo, cada rota de dado entre eles precisa da mesma documenta\u00e7\u00e3o de base legal exigida pelo artigo 33. Multiplicar provedores multiplica pontos de auditoria.<\/p>\n\n\n\n

Infraestrutura como c\u00f3digo como evid\u00eancia, n\u00e3o s\u00f3 como automa\u00e7\u00e3o.<\/strong> Um pipeline que provisiona recursos via Terraform ou Ansible gera, como efeito colateral, um hist\u00f3rico versionado de onde cada recurso foi criado e quando mudou. Esse hist\u00f3rico vira prova em auditoria: mostra a regi\u00e3o de cada banco de dados, cada bucket de armazenamento, cada inst\u00e2ncia, sem depender de algu\u00e9m lembrar ou reconstruir manualmente a topologia depois do fato.<\/p>\n\n\n\n

Backup e disaster recovery tamb\u00e9m s\u00e3o jurisdi\u00e7\u00e3o.<\/strong> \u00c9 comum times tratarem produ\u00e7\u00e3o com rigor regulat\u00f3rio e esquecerem a arquitetura de conting\u00eancia. Habilitar replica\u00e7\u00e3o ass\u00edncrona de banco de dados para o exterior, ou configurar Cross-Region Replication em buckets de storage para fins de disaster recovery, configura transfer\u00eancia internacional do ponto de vista da ANPD. O dado replicado numa r\u00e9plica de DR ou num ambiente de staging fora do pa\u00eds precisa exatamente da mesma base legal e da mesma documenta\u00e7\u00e3o do dado em produ\u00e7\u00e3o.<\/p>\n\n\n\n

A decis\u00e3o pr\u00e1tica: nuvem nacional como base s\u00f3lida<\/h2>\n\n\n\n

Para uma aplica\u00e7\u00e3o cujo p\u00fablico majorit\u00e1rio est\u00e1 no Brasil, rodar no core da internet brasileira, com provedor cuja sede jur\u00eddica tamb\u00e9m est\u00e1 no pa\u00eds, reduz simultaneamente dois riscos que costumam ser tratados separadamente: o risco regulat\u00f3rio de transfer\u00eancia internacional (incluindo a exposi\u00e7\u00e3o ao Cloud Act de provedores estrangeiros) e o risco t\u00e9cnico de lat\u00eancia.<\/p>\n\n\n\n

Uma base s\u00f3lida de infraestrutura nacional n\u00e3o elimina a necessidade de classificar dados, documentar bases legais e manter logs de acesso. Elimina a camada extra de complexidade jur\u00eddica que vem de depender de jurisdi\u00e7\u00e3o estrangeira para o dado que n\u00e3o precisa sair do Brasil.<\/p>\n\n\n\n

Esse \u00e9 o racional por tr\u00e1s do Locaweb Cloud: infraestrutura com Zonas de Disponibilidade no Brasil<\/a>, cobran\u00e7a em reais e suporte t\u00e9cnico local, para quem constr\u00f3i aplica\u00e7\u00f5es que atendem majoritariamente usu\u00e1rios brasileiros e precisa reduzir a dist\u00e2ncia entre decis\u00e3o de arquitetura e decis\u00e3o regulat\u00f3ria.<\/p>\n\n\n\n

Antes de migrar workloads inteiros, vale mapear quais dados hoje trafegam para fora do pa\u00eds, sob qual base legal, e se essa transfer\u00eancia ainda faz sentido t\u00e9cnico ou \u00e9 apenas heran\u00e7a de um contrato antigo. Esse mapeamento costuma revelar dados, incluindo backups e r\u00e9plicas de DR, que nunca precisaram sair do Brasil e que ningu\u00e9m mais lembra por que foram parar l\u00e1.<\/p>\n\n\n\n

Para times pequenos, sem estrutura dedicada a compliance, o caminho mais direto costuma ser reduzir o n\u00famero de jurisdi\u00e7\u00f5es envolvidas antes de tentar documentar perfeitamente todas elas. Um dado que nunca sai do Brasil, com provedor de sede nacional, n\u00e3o precisa de cl\u00e1usula contratual, avalia\u00e7\u00e3o de adequa\u00e7\u00e3o nem evid\u00eancia de consentimento espec\u00edfico para transfer\u00eancia internacional. A conformidade mais barata \u00e9 a que elimina a necessidade de prov\u00e1-la.<\/p>\n\n\n\n

FAQ \u2013 Perguntas frequentes sobre soberania de dados<\/h2>\n\n\n\n
\n
\n